Měsíční shrnutí škodlivého kódu: květen

Vítejte v květnovém vydání Xygeni Malicious Code Digest. Tento měsíc náš tým bezpečnostního výzkumu pokračoval ve sledování vyvíjejícího se prostředí hrozeb v dodavatelském řetězci softwaru napříč veřejnými registry balíčků, vývojářskými nástroji, pracovními postupy s podporou umělé inteligence a moderními technologiemi. CI/CD prostředí. Během května společnost Xygeni identifikovala a ověřila stovky škodlivých balíčků zaměřených na ekosystémy npm, PyPI, VS Code a OpenVSX.

Květen se ale netýkal jen objemu. Byl to také měsíc, kdy útočníci stále více přizpůsobovali své obchodní dovednosti vývojovým prostředím založeným na umělé inteligenci, předpokladům důvěryhodnosti vývojářů a automatizovaným pipelines.

Mezi nejvýznamnější vyšetřování zveřejněná bezpečnostním týmem Xygeni tento měsíc patří:

• JulesJacker, vícestupňová kampaň malwaru NPM, která se vydává za agenta umělé inteligence Jules od Googlu za účelem krádeže repozitářů, zneužívání CI/CD prostředí a dokonce se zaměřit na sandbox analyzující ho. Kampaň zavedla šifrované zavaděče chráněné hostitelem, padělané google-labs-jules[bot] commits, krádeže cloudových metadat a průzkum Kubernetes proti samotné analytické infrastruktuře.
• PhantomBot, škodlivá NPM kampaň zneužívající falešné peněženky, blockchain a nástroje Web3 ke krádeži přihlašovacích údajů, kompromitaci vývojářských prostředí a cílení na pracovní postupy související s kryptoměnami prostřednictvím zneužívání závislostí a postupného doručování dat.
• Rozsáhlý škodlivý ekosystém NPM zneužívá falešné utility TypeScript, balíčky s tématikou umělé inteligence, zosobnění interních nástrojů, frontendové knihovny, cloudové pomocníky a frameworky pro tvorbu otisků prstů, odcizení přihlašovacích údajů, nasazení perzistence a ohrožení vývojářských systémů.
• Pokračující vlny škodlivých balíčků využívajících zmatek závislostí, překlepy, zneužívání po instalaci, zosobnění nástrojů umělé inteligence, inflaci verzí a opakované zneužívání jmenných prostorů, jejichž cílem je obejít heuristiky důvěryhodnosti vývojářů a ohrozit moderní SDLC pracovní postupy před detekcí.
• Objev multiplatformních malwarových kampaní, jako je například @jaggle/resizeobserves únosce schránky, který se vydával za legitimní balíček a zároveň nasazoval perzistenci založenou na Pythonu a substituci schránky krypto peněženek v systémech Linux, macOS a Windows.

Během celého měsíce jsme také pozorovali rostoucí konvergenci mezi nástroji umělé inteligence, ekosystémy open source a útoky na dodavatelský řetězec softwaru. Aktéři útoků se stále častěji zaměřovali na vývojové pracovní postupy s podporou umělé inteligence, prostředí agentů, kopiloty a cloudově nativní sestavování. pipelinejako součást širších operací proti krádeži přihlašovacích údajů a kompromitaci úložišť.

Tyto útoky již nejsou ojedinělými případy pouhého překlepu. Zahrnují koordinované publikační kampaně, automatizované verzové bursty, krádeže cloudových tokenů, CI/CD zneužívání, šifrované stagingové zpracování dat, obcházení sandboxu a techniky trvalého kompromitování, které jsou speciálně navrženy tak, aby se začlenily do důvěryhodných vývojářských ekosystémů.

Tato měsíční aktualizace je součástí probíhající iniciativy společnosti Xygeni pro výzkum malwaru a hrozeb v dodavatelském řetězci, v rámci které náš tým průběžně ověřuje škodlivé balíčky, zkoumá nově vznikající vzorce útoků a publikuje užitečné informace, které pomáhají bezpečnostním týmům, týmům AppSec a DevSecOps udržet si náskok před vyvíjejícími se riziky v dodavatelském řetězci.

Úplný kontext ke každému škodlivému balíčku, malwarové kampani a analýze hrozeb publikované tento měsíc naleznete v kompletním květnovém přehledu škodlivého kódu a souvisejícím výzkumu od bezpečnostního týmu Xygeni.